数字化时代，API网关为何如此重要？

数字经济时代，无论是互联网商业创新还是传统企业数字化转型，都在推动API数量与应用范围的爆发式增长。从只用于企业内部服务调用的1.0时代，到面向服务架构的2.0时代，再到如今成为开放平台和云原生微服务的3.0时代，API正在成为数字世界的基础设施，在企业的业务体系中发挥着越来越重要的作用。福兮祸之所倚，API在给企业数字化转型带来巨大便利的同时，也带来了新的安全挑战。由于其开放的特性，API成为了网络攻击的重灾区。Facebook、LinkedIn、Twitter……都因API安全问题遭遇了超大型数据泄露事件。如何对API进行安全防护，应对越发猖獗的API攻击，已经成为企业不得不面对的问题。

OWASP API Security Top 10解读

API安全的重要性早就得到了网安业界的高度重视。OWASP在2019年首次提出了API Security Top 10，总结了API安全面临的十大风险，为企业的API安全防护提供了重要参考。随着API安全形势的不断变化、相关安全实践的不断加深，OWASP在2023年发布了API Security Top 10的内容更新。相比2019的旧版本，此次更新进一步强调了API攻击场景与WEB攻击的差异化，突出API授权管理、资产管理、业务风控等问题。通过新旧版本的对比，我们能直观的看到API安全风险的变化趋势：在2023年的API Security Top 10，认证和授权相关的风险占了4条，分别是对象级别授权失效BOLA（API 1）、身份认证失效（API 2）、对象属性级别授权失效（API 3）、功能级别授权失效（API 5）。API漏洞与攻击相关的风险占了3条，分别是资源消耗无限制（API 4）、服务端请求伪造SSRF（API 6）、缺少对自动化威胁的防护（API 8）。API资产管理与安全配置相关风险占了3条，分别是错误的安全配置（API 7）、存量资产管理不当（API 9）、不安全的第三方API（API 10）。明确了API面连的安全风险，API安全防护的要点也就呼之欲出：1.强化API访问鉴权，实现最小化授权将访问鉴权的范围从“人”扩展为“人+机”，基于身份信息实现最小化的API访问授权，避免攻击者利用API授权漏洞，非法获取敏感数据或者完全掌控账户（API 1），伪造和盗用合法身份信息（API 2），越权访问信息和资源（API 3），非法获取API请求（API 5）。2.监控API访问流量，实时发现并阻断攻击实时监控API访问流量，及时发现异常访问行为，防范DoS攻击（API 4）、内部服务枚举和信息泄露（API 6），自动监测并防御恶意软件、蠕虫病毒、僵尸网络等自动化威胁（API8）。3.统一管理API资产，规范API安全设置建立纵览全局的API资产管理体系（API 9），监测API安全状态并修补API安全漏洞（API10），通过代理API实现API安全配置的统一管理（API 7），最终建立API的全生命周期管理机制。

芯盾时代零信任安全API网关

芯盾作为领先的零信任业务安全产品方案提供商，以零信任理念赋能API安全，基于增强型IAM、零信任网络访问等技术，打造了零信任安全API网关（ZAG），为企业提供API接口的统一代理，帮助企业实现API的访问认证、数据加密、安全防护、应用审计，构筑API的全生命周期管理能力。针对后端API的安全需求，安全认证鉴权、流量控制、自动熔断等安全策略，大幅提升后端服务的开发效率和维护效率。芯盾时代零信任安全API网关（ZAG），具备以下优势：1.统一代理API接口，实现API资产规范管理由API网关提供API统一入口，对不同系统访问协议进行规范统一，用标准化的协议实现系统集成，提高安全管理效率，避免因为API配置不当导致的安全问题。网关提供可视化仪表盘，对API调用情况进行统计并监控，包括调用量、调用状态、成功率、访问源等，帮助企业快速掌握API资产情况，及时发现不安全的API。2.强化API安全认证鉴权，实现最小化授权将访问鉴权的范围从“人”扩展为“人+机”，支持多维度的前端用户接入访问认证，提升身份鉴权的安全性，只有通过认证的用户、客户端、程序才能进一步访问API代理发布的服务。基于身份信息和API状态，对API访问进行最小化授权，保证API中敏感数据的精细管控，避免因权限管理漏洞、过度授权导致的安全问题。3.精细管控API流量，全链路保证API安全网关采用同步+异步混合流控的方式，通过多种算法，实现精细化的秒级流控，同时提供灵活自定义的流量控制策略，针对异常调用进行主动熔断和被动熔断，保障API服务的稳定性和连续性。网关能够与API安全监测平台联动，实时阻断账号暴力破解、未授权访问等风险行为，全链路保障API安全。4.开箱即用，一站式实现API全生命周期管理网关只需要在管理控制台中配置，即可快速创建API；提供页面调试工具，简化API开发；可同时发布一个API到多个环境，快速迭代、测试API，帮助企业实现API设计、开发、测试、发布、运维监测、安全管控、下线的一站式全生命周期管理。借助芯盾时代零信任安全API网关，企业能够快速建立API安全多层防护机制，防范API攻击，保证API的安全利用。零信任安全API网关与芯盾时代API安全监测平台搭配使用，能够为企业建立覆盖“策略→防护→检测→响应”的API安全防护体系，让企业的API更开放、更安全。

往期 · 推荐

350种类型、10W+量级的API，企业应该怎么管？

【喜讯】芯盾时代入选《2022中国网络安全十大创新方向》API安全防护典型厂商

【喜讯】芯盾时代入选《API安全产品及服务购买指南》 以零信任破解API安全难题

【喜讯】芯盾时代荣获中国信通院“零信任最受行业欢迎厂商”

---

原文标题：数字化时代，API网关为何如此重要？

文章出处：【微信公众号：芯盾时代】欢迎添加关注！文章转载请注明出处。